La patch di PHP per Windows si nasconde nel suffisso -1
PHP per Windows ha corretto CVE-2026-111497 integrando Brotli 1.2.1 nelle nuove compilazioni, ma la versione dell’interprete resta invariata. La falla può causare divulgazione di dati, interruzione del servizio o esecuzione di codice.
Una risposta HTTP compressa costruita ad hoc può attivare il difetto quando cURL la decomprime automaticamente. L’opzione è disattivata per impostazione predefinita, ma il codice dell’applicazione o una libreria possono abilitarla: non tutte le installazioni PHP per Windows sono esposte allo stesso modo.
I rebuild corretti sono 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1. Il suffisso -1 segnala l’inclusione di Brotli 1.2.1: controllare solo la versione dell’interprete non permette di stabilire se la correzione è presente.
CVSS 9.8 CRITICAL: a buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0… EPSS 88% (100º percentile). Patch Microsoft: Release Notes.